危害
1、盜取各類用戶帳號(hào)，如機(jī)器登錄帳號(hào)、用戶網(wǎng)銀帳號(hào)、各類管理員帳號(hào)
2、控制企業(yè)數(shù)據(jù)，包括讀取、篡改、添加、刪除企業(yè)敏感數(shù)據(jù)的能力
3、盜竊企業(yè)重要的具有商業(yè)價(jià)值的資料
4、非法轉(zhuǎn)賬
5、強(qiáng)制發(fā)送電子郵件
6、網(wǎng)站掛馬
7、控制受害者機(jī)器向其它網(wǎng)站發(fā)起攻擊

防范
1、必須明確：一切輸入都是有害的，不要信任一切輸入的數(shù)據(jù)。
2、緩和XSS問題的首要法則是確定哪個(gè)輸入是有效的，并且拒絕所有別的無(wú)效輸入。
3、替換危險(xiǎn)字符，如："&", "<", ">", """，"'", "/", "?"，";", ":", "%", "<SPACE>", "=", "+"。各種語(yǔ)言替換的程度不盡相同，但是基本上能抵御住一般的XSS攻擊。

a.ASP中的Server.HTMLEncode： <%= Server.HTMLEncode("The paragraph tag: <P>") %>
b.ASP.NET的Server.HtmlEncode及Server.UrlEncode： String TestString = "This is a <Test String>.";
String EncodedString = Server.HtmlEncode(TestString);
Server.UrlEncode(Request.Url.ToString());
4、有些網(wǎng)站使用過濾javascript關(guān)鍵字的辦法來(lái)防止XSS，其實(shí)是很不明智的，因?yàn)閄SS有時(shí)候根本就不需要javascript關(guān)鍵字或者對(duì)javascript關(guān)鍵字進(jìn)行格式變化來(lái)躲過過濾。

5、為所有的標(biāo)記屬性加上雙引號(hào)。應(yīng)該說(shuō)這也不是萬(wàn)全之策，只是在轉(zhuǎn)義了雙引號(hào)的前提下的一道安全保障。比如： 不加雙引號(hào)時(shí)，onclick被執(zhí)行了：
<a href=http://www.xxx.com/detail.asp?id=2008 onclick='javascrpt:alert('haha')'>
加上了雙引號(hào)，onclick不會(huì)被執(zhí)行：
<a href="http://www.xxx.com/detail.asp?id=2008 onclick='javascrpt:alert('haha')'">
6、將數(shù)據(jù)插入到innerText屬性中，腳本將不會(huì)被執(zhí)行。如果是innerHTML屬性，則必須確保輸入是安全的。如ASP.NET中：

最新評(píng)論